与Statement的差别取决于PrepareStatement会对SQL语句开展预编译，预编译的优势不仅仅取决于在相应水平上杜绝了sql注入，还降低了sql语句的编译频次，提升了能力，其工作原理是先去编译sql语句，无论最后键入为何，预编译的语句仅仅做为字符串数组来实行，而SQL注入只对编译环节有影响功能，实行环节仅仅把键入串做为数据处理方法，无需再对SQL语句开展解析，因而解决了注入问题,因为SQL语句编译环节是开展词法分析、语法分析器、文本检索等环节的，换句话说编译环节鉴别了关键词、实行逻辑性这类的事物，编译告一段落这一条SQL语句能做什么就定了。而在编译以后添加注入的一部分，就早已没法更改实行逻辑性了，这一部分就只有是等同于键入字符串数组被解决.

详情：[网站数据库预编译为何能杜绝SQL注入？

而Statement方法在每一次实行时都须要编译，会扩大软件开销。理论上PrepareStatement的效果和安全系数会比Statement好些，但并不代表应用PrepareStatement就一定安全，不可能造成SQL注入。

PrepareStatement防御预编译的表达方式是应用?做为分隔符随后将SQL语句开展预编译，因为?做为分隔符早已告知网站数据库所有SQL语句的构建，即?处传到的是主要参数，而不可能是sql语句，因此即使攻击者传到sql语句也不会被网站数据库解析最先先要求好SQL语句的构建，随后在对分隔符开展信息的插进，那样便会对sql语句开展防御，攻击者构建的paylaod会被诠释成通常的字符串数组，我们可以运用过导出查询最后会到底是什么sql语句.可以发觉还会继续对反斜杠开展转义，通常只有运用宽字节注入，下边可能在源代码的方面展现为何预编译可以杜绝SQL注入，与此同时诠释怎么会空出1个转义符.众所都知道，sql注入往往能被攻击者运用，关键因素取决于攻击者可以构建payload，尽管有的开发者选用了预编译可是却因为缺少安全观念或是是懒惰会立即采用拼接的方法构建SQL语句，这时开展预编译则不能防止SQL注入的造成.